SKT 유심정보 암호화 저장 미 조치 타당한가

cisp 2025년 5월 8일

SKT 유심정보유출과 관련하여 해당 정보들의 암호화를 안한 것에 대하여 그 근거로 SKT는 3GPP의 표준을 말하고 있습니다.

SKT는 3GPP 표준 중 어떤 표준인지는 언급하고 있지 안으나 저희가 조사한 내용에 따르면 “5G 시스템을 위한 보안 아키텍처 및 절차”를 규정하고 있는 ‘Security architecture and procedures for 5G System (3GPP TS 33.501 version 15.8.0 Release 15)’에 이와 관련된 내용이 있습니다.

5.1.3 Requirements on 5GC and NG-RAN related to keys
The 5GC and NG-RAN shall allow for use of encryption and integrity protection algorithms for AS and NAS protection having keys of length 128 bits. The network interfaces shall support the transport of 256 bit keys.
The keys used for UP, NAS and AS protection shall be dependent on the algorithm with which they are used.

5.1.3 키 관련 5GC 및 NG-RAN 요구사항
5GC 및 NG-RAN은 128비트 길이의 키를 사용하는 AS 및 NAS 보호를 위해 암호화 및 무결성 보호 알고리즘 사용을 허용해야 합니다. 네트워크 인터페이스는 256비트 키 전송을 지원해야 합니다.
UP, NAS 및 AS 보호에 사용되는 키는 해당 키의 알고리즘에 따라 달라집니다.

5.8.2 Subscriber privacy related requirements to UDM and SIDF
The SIDF is responsible for de-concealment of the SUCI and shall fulfil the following requirements:
– The SIDF shall be a service offered by UDM.
– The SIDF shall resolve the SUPI from the SUCI based on the protection scheme used to generate the SUCI.
The Home Network Private Key used for subscriber privacy shall be protected from physical attacks in the UDM.
The UDM shall hold the Home Network Public Key Identifier(s) for the private/public key pair(s) used for subscriber privacy.
The algorithm used for subscriber privacy shall be executed in the secure environment of the UDM.

5.8.2 UDM 및 SIDF에 대한 가입자 개인정보 보호 관련 요구사항
SIDF는 SUCI의 은닉 해제를 담당하며 다음 요구사항을 충족해야 합니다.
– SIDF는 UDM에서 제공하는 서비스여야 합니다.
– SIDF는 SUCI 생성에 사용된 보호 체계를 기반으로 SUCI에서 SUPI를 확인해야 합니다.
가입자 개인정보 보호에 사용되는 홈 네트워크 개인 키는 UDM에서 물리적 공격으로부터 보호되어야 합니다.
UDM은 가입자 개인정보 보호에 사용되는 개인 키/공개 키 쌍에 대한 홈 네트워크 공개 키 식별자를 보유해야 합니다.
가입자 개인정보 보호에 사용되는 알고리즘은 UDM의 보안 환경에서 실행되어야 합니다.

해당 내용은 데이터의 전송 처리에 대하여 정의하고 있는 영역으로 ‘전송 시 암호화(encryption in transit)’에 대한 내용 만 정의되어 있어 데이터의 저장에 관한 사항인 ‘저장 시 암호화(encryption at rest)‘가 정의되어 있지 안습니다. 이를 근거로 저장 시 암호화를 하지 안아도 된다는 것은 타당하지 안습니다.

5.2.4 Secure storage and processing of subscription credentials
The following requirements apply for the storage and processing of the subscription credentials used to access the 5G network:
The subscription credential(s) shall be integrity protected within the UE using a tamper resistant secure hardware component.
The long-term key(s) of the subscription credential(s) (i.e. K) shall be confidentiality protected within the UE using a tamper resistant secure hardware component.
The long-term key(s) of the subscription credential(s) shall never be available in the clear outside of the tamper resistant secure hardware component.
The authentication algorithm(s) that make use of the subscription credentials shall always be executed within the tamper resistant secure hardware component.
It shall be possible to perform a security evaluation / assessment according to the respective security requirements of the tamper resistant secure hardware component.
NOTE: The security assessment scheme used for the security evaluation of the tamper resistant secure hardware component is outside the scope of 3GPP specifications.

5.2.4 구독 자격 증명의 안전한 저장 및 처리
5G 네트워크 접속에 사용되는 구독 자격 증명의 저장 및 처리에는 다음 요구 사항이 적용됩니다.
구독 자격 증명은 변조 방지 보안 하드웨어 구성 요소를 사용하여 UE 내에서 무결성 보호되어야 합니다.
구독 자격 증명의 장기 키(즉, K)는 변조 방지 보안 하드웨어 구성 요소를 사용하여 UE 내에서 기밀성 보호되어야 합니다.
구독 자격 증명의 장기 키는 변조 방지 보안 하드웨어 구성 요소 외부에서 평문으로 제공되어서는 안 됩니다.
구독 자격 증명을 사용하는 인증 알고리즘은 항상 변조 방지 보안 하드웨어 구성 요소 내에서 실행되어야 합니다.
변조 방지 보안 하드웨어 구성 요소의 해당 보안 요구 사항에 따라 보안 평가/평가를 수행할 수 있어야 합니다.
참고: 변조 방지 보안 하드웨어 구성 요소의 보안 평가에 사용되는 보안 평가 체계는 3GPP 사양의 범위를 벗어납니다.

5.2.5 Subscriber privacy
The UE shall support 5G-GUTI.
The SUPI should not be transferred in clear text over NG-RAN except routing information, e.g. Mobile Country Code(MCC) and Mobile Network Code (MNC).
The Home Network Public Key shall be stored in the USIM.
The protection scheme identifier shall be stored in the USIM.
The Home Network Public Key Identifier shall be stored in the USIM.

이하생략

5.2.5 가입자 개인정보 보호
UE는 5G-GUTI를 지원해야 합니다.
SUPI는 라우팅 정보(예: 모바일 국가 코드(MCC) 및 모바일 네트워크 코드(MNC))를 제외하고 NG-RAN을 통해 일반 텍스트로 전송되어서는 안 됩니다.

홈 네트워크 공개 키는 USIM에 저장되어야 합니다.
보호 체계 식별자는 USIM에 저장되어야 합니다.
홈 네트워크 공개 키 식별자는 USIM에 저장되어야 합니다.

만약 5.2.5에서 정의된 USIM에 저장되는 “Home Network Public Key” 가 “유심인증키”이면 이는 5.2.4에서 정의한 내용에 의하여 암호화하여 저장하여야 한다.

무엇보다 3GPP 표준은 통신관계자들이 모여 원활한 통신 서비스의 제공을 위하여 그들끼리 통신서비스의 절차를 정한 내용으로 이는 권고 사항이지 강제 사항이 아닙니다.

따라서 표준을 들어 책임을 회피하려는 행위는 정당화 될 수 없습니다.

계속